کشف پیشرفته‌ ترین جاسوس‌ افزار تاریخ

به گزارش جام جم کلیک: یک گروه جاسوسی سایبری با مجموعه ابزاری مشابه ابزارهای مورد استفاده آژانس‌های امنیتی آمریکا، به مؤسسه های کلیدی در کشورهای مختلف از جمله ایران و روسیه نفوذ کرده است.

براین اساس، مرکز ماهر براساس گزارش کسپراسکای اعلام کرد که این ابزارهای جاسوسی توسط گروه Equation ایجاد شده که به نظر می‌آید ارتباطی با آژانس امنیت ملی آمریکا دارد.

ابزارها، کدهای سوء استفاده کننده و بدافزارهای مورد استفاده توسط این گروه، به تکنیک‌های شرح داده شده در اسناد فوق سری آژانس امنیت ملی آمریکا که در سال 2013 درز پیدا کرد، شباهت های بسیاری دارد.

براساس گزارش مرکز ماهر، کشورهای ایران، روسیه، پاکستان، افغانستان، هند و چین بیشترین هدف Equation قرار گرفته‌اند که اهداف این ویروس جاسوسی در این کشورها شامل مؤسسه های نظامی، مخابراتی، هوا و فضا، انرژی، تحقیقات هسته‌ای، نفت و گاز، نانوفناوری، مؤسسه های مالی، شرکت‌های تولید کننده فناوری های رمزنگاری، سفارتخانه‌ ها، مؤسسه های دولتی، مؤسسه های پژوهشی و پژوهشگاه‌های اسلامی است.

یافته تکان دهنده کسپراسکای این است که Equation قابلیت آلوده کردن سفت‌افزار یک درایو سخت یا کد سطح پایینی را که نقش واسط بین سخت‌افزار و نرم‌افزار را بازی می‌کند، داراست.

این بدافزار، سفت‌افزار درایو سخت را برنامه‌ریزی دوباره می‌کند و سکتورهای پنهانی روی درایو ایجاد می‌کند که فقط می‌توانند از طریق یک API سری مورد دسترسی قرار گیرند؛ حذف این بدافزار پس از نصب غیرممکن است، فرمت کردن دیسک و نصب مجدد سیستم عامل هیچ تأثیری بر روی آن ندارد و سکتورهای پنهان همچنان باقی می‌مانند.

مدیر گروه تحقیق و تحلیل جهانی کسپراسکای (کاستین رایو) گفت: ما به لحاظ تئوری از این امکان آگاهی داشتیم، اما این تنها موردی است که مشاهده شده است که یک مهاجم، چنین قابلیت پیشرفته وحشتناکی در اختیار دارد.

درایوهای ساخته شده توسط سی‌گیت، وسترن دیجیتال، هیتاچی، سامسونگ، آی‌بی‌ام، میکرون و توشیبا می‌توانند توسط دو پلتفورم بدافزار Equation یعنی Equationdrug و Grayfish دستکاری شوند.

بنابراین گزارش، Equation دانشی از این درایوها در اختیار دارد که بسیار بیشتر از اسناد عمومی منتشر شده توسط تولیدکنندگان آنها است.

Equation مجموعه دستورات ATA یکتای مورد استفاده توسط تولیدکنندگان درایوهای سخت را برای فرمت کردن محصولات آنها می‌داند. اغلب دستورات ATA عمومی هستند، چرا که از استانداردی استفاده می‌کنند که این اطمینان را ایجاد می‌کند که درایو سخت با هر نوع کامپیوتری سازگار است. اما دستورات ATA غیرمستندی وجود دارند که توسط تولیدکنندگان برای اعمالی مانند ذخیره‌سازی داخلی و تصحیح خطا به کار می‌روند. در حقیقت، آنها یک سیستم عامل بسته هستند. دستیابی به چنین کدهای ATA، نیازمند دسترسی به این اسناد است که هزینه زیادی در بر دارد. احتمال اینکه کسی بتواند با استفاده از اطلاعات عمومی، سیستم عامل درایو سخت را بازنویسی کند تقریباً صفر است.

بنا بر اظهارات کاستین رایو، قابلیت برنامه‌ریزی مجدد سفت‌افزار فقط یک مدل درایو سخت به طرز باورنکردنی پیچیده است. اما دارا بودن چنین قابلیتی برای انواع زیادی از درایوها از تولیدکنندگان مختلف تقریباً غیرممکن است.

به نظر می‌رسد که Equation بسیار بسیار جلوتر از صنعت امنیت است. تشخیص این نوع نفوذ تقریبا غیرممکن است. پاک کردن کامل درایو یا تعویض سفت‌افزار آن نیز چندان مفید نیست، چرا که برخی از انواع ماژول‌ها در برخی سفت‌افزارها دائمی هستند و نمی‌توانند مجدداً فرمت شوند.

براساس گزارش کسپراسکای، در بررسی ها، فقط قربانیان کمی که هدف این بدافزار قرار گرفته بودند، شناسایی شدند. این نشان می‌دهد که این بدافزار احتمالا برای با ارزش‌ترین قربانیان و یا برای شرایط بسیار غیرمعمول در نظر گرفته شده است.

به گفته کسپراسکای این تهدید از حدود 20 سال پیش فعال بوده و از لحاظ پیچیدگی تکنیک، بر تمام تهدیدات شناخته شده برتری دارد. این گروه از هر لحاظی یکتا است. آنها از ابزارهایی برای آلوده کردن قربانیان، بازیابی داده‌ها و پنهان کردن فعالیت‌های خود استفاده می‌کنند که توسعه آنها بسیار پیچیده و گران است.

به گزارش کسپراسکای، این گروه به استاکس‌نت وابستگی دارد. سازندگان این جاسوس‌افزار باید به کد منبع درایوهای سخت آلوده دسترسی داشته باشند. چنین کدی می‌تواند آسیب‌پذیری‌هایی را نشان دهد که توسط نویسندگان این نرم‌افزار مخرب مورد استفاده قرار گرفته‌اند.

یک سخنگوی وسترن دیجیتال اعلام کرد که این شرکت کد منبع خود را در اختیار آژانس‌های دولتی قرار نداده است. یک سخنگوی سی‌گیت نیز گفت که این شرکت معیارهای امنیتی را برای محافظت در برابر نفوذ و یا مهندسی معکوس سفت‌افزار درایوهای سخت خود در نظر می‌گیرد.

منبع: شبکه خبر